NIS2 en Alemania: explicación de la NIS2UmsuCG (2026)

En resumen: Alemania transponía la Directiva NIS2 con retraso, pero de forma rigurosa. La Ley de aplicación de la Directiva NIS2 (NIS2UmsuCG) y la nueva Ley del BSI (BSIG) están en vigor desde el 6 de diciembre de 2025, sin periodo de transición. El ámbito de aplicación abarca aproximadamente 29 500 organizaciones, divididas en entidades «especialmente importantes» (besonders wichtige) e «importantes» (wichtige). Tenían que registrarse en la BSI en un plazo de tres meses, es decir, antes del 6 de marzo de 2026; a mediados de 2026, se estimaba que unas 10 500 aún no lo habían hecho. El registro sigue siendo obligatorio, las multas pueden alcanzar los 10 millones de euros o el 2 % de la facturación global, y la dirección es responsable personalmente. Esta guía explica quiénes se ven afectados, qué espera la BSI y qué hacer en caso de retraso.

Cronología: cómo ha llegado Alemania hasta aquí

A quién afecta: el ámbito de aplicación en Alemania

Fuentes oficiales: la página informativa de la BSI sobre la NIS2 para empresas reguladas (en alemán) y su herramienta gratuita de autoevaluación de la NIS2 (Betroffenheitsprüfung) te permiten saber en diez minutos si estás sujeto a esta normativa. El texto legal es la nueva BSIG 2025, disponible en gesetze-im-internet.de.

El BSIG sigue la lógica de la NIS2, pero utiliza su propia terminología:

• Entidades de especial importancia (besonders wichtige Einrichtungen): grandes empresas (más de 250 empleados o 50 millones de euros de volumen de negocio y 43 millones de euros de balance) en los sectores de alta criticidad (energía, transporte, banca, infraestructura de los mercados financieros, sanidad, agua, aguas residuales, infraestructura digital, gestión de servicios de TIC, administración pública y sector espacial), además de los operadores de infraestructuras críticas (KRITIS), independientemente de su tamaño, los proveedores de servicios de confianza cualificados, los registros de dominios de nivel superior (TLD) y los proveedores de DNS.
• Entidades importantes (wichtige Einrichtungen): empresas medianas (más de 50 empleados o 10 millones de euros de volumen de negocio y balance) en los sectores de alta criticidad, y empresas medianas y grandes en los demás sectores críticos (servicios postales y de mensajería, residuos, productos químicos, alimentación, fabricación de dispositivos médicos, maquinaria, vehículos y electrónica, proveedores digitales, investigación).
• Administración federal: regulada por separado en la BSIG, con sus propias obligaciones.

El BSI estima que el total asciende a unas 29 500 organizaciones, la mayoría de ellas entidades «importantes» del sector manufacturero. El BSI ofrece una herramienta de autoevaluación en línea (Betroffenheitsprüfung); la ley exige que evalúes tu propia situación, sin esperar a recibir una carta.

Las obligaciones derivadas de la BSIG

1. Inscripción en el BSI

En un plazo de tres meses desde que se entre en el ámbito de aplicación, a través del portal de la BSI y de la cuenta empresarial «Mein Unternehmenskonto»: datos de la empresa, sector, datos de contacto, rangos de direcciones IP y los Estados miembros en los que opera. Los cambios deben comunicarse en un plazo de dos semanas. El plazo para las entidades que entraron en el ámbito de aplicación desde el primer día finalizó el 6 de marzo de 2026. Si aún no se ha registrado, hágalo ahora; la obligación no prescribe y el registro voluntario tardío se trata de forma más favorable que ser descubierto.

2. Medidas de gestión de riesgos (art. 30 de la BSIG)

Las diez medidas mínimas de NIS2, proporcionales al riesgo: análisis de riesgos y políticas de seguridad, gestión de incidentes, continuidad del negocio y copias de seguridad, seguridad de la cadena de suministro, contratación y desarrollo seguros, evaluación de la eficacia, ciberhigiene y formación en ciberseguridad, criptografía, control de acceso y gestión de activos, y autenticación multifactorial y comunicaciones seguras. Las entidades de especial importancia también deben utilizar sistemas de detección de ataques cuando actúen como operadores KRITIS.

3. Notificación de incidentes (art. 32 de la BSIG)

Aviso precoz en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final en el plazo de un mes, a través del portal de notificación de la BSI. Se consideran incidentes «significativos» aquellos que provocan graves perturbaciones operativas o pérdidas económicas, o que afectan a terceros.

4. Obligaciones de la dirección (art. 38 de la BSIG)

La dirección debe aprobar y supervisar las medidas de gestión de riesgos y debe asistir periódicamente a cursos de formación en ciberseguridad. Según el Derecho mercantil alemán, los directivos son personalmente responsables del incumplimiento de esta obligación; la BSIG excluye expresamente que la empresa pueda eximirles de dicha responsabilidad.

5. Pruebas y supervisión

La BSI puede solicitar información y pruebas, ordenar auditorías y, en el caso de las entidades de especial importancia, llevar a cabo una supervisión proactiva. Las multas pueden ascender hasta 10 millones de euros o el 2 % de la facturación global en el caso de las entidades de especial importancia, y hasta 7 millones de euros o el 1,4 % en el caso de las entidades importantes.

¿Se te ha pasado el plazo de inscripción? Haz lo siguiente

1. Realiza hoy mismo la autoevaluación de BSI y documenta el resultado, incluso si llegas a la conclusión de que no entras dentro del ámbito de aplicación.
2. Inscríbete inmediatamente si cumples los requisitos. Más vale tarde que nunca, y el proceso de inscripción en sí mismo lleva menos de una hora una vez que tengas la cuenta empresarial.
3. Evaluar las deficiencias con respecto al artículo 30. La mayoría de las pymes alemanas detectan tres deficiencias: la seguridad de la cadena de suministro, la gestión documentada de incidentes y la formación sin justificación.
4. Anota al consejo de administración en un registro de formación. El artículo 38 lo exige, y es lo primero que pide un auditor. Los retos semanales de Guardey incluyen un seguimiento de la gestión y la elaboración de informes de finalización por persona.
5. Prueba el procedimiento de notificación de 24 horas. ¿Quién se da cuenta, quién decide y quién presenta la notificación? Ensaya una vez.

La formación como prueba: qué acepta la BSI

Ni la directiva ni la BSIG establecen un formato concreto, pero debe poder demostrarse que se ha impartido «formación en ciberhigiene y ciberseguridad». Una presentación anual con una hoja de asistencia constituye una prueba poco sólida; un programa continuo con datos de finalización por empleado, resultados de simulaciones de phishing y un registro de formación de la dirección constituye una prueba sólida. La formación en concienciación sobre seguridad de Guardey está disponible en alemán, dura tres minutos a la semana, incluye simulaciones de phishing y genera los informes para NIS2, ISO 27001 y otros marcos normativos.

Preguntas más frecuentes

¿Ya está en vigor la NIS2 en Alemania?

Sí. El NIS2UmsuCG y el nuevo BSIG son de aplicación desde el 6 de diciembre de 2025. No hay período de transición.

¿Quién debe registrarse en la BSI?

Todas las entidades de especial importancia, en un plazo de tres meses desde que entren en el ámbito de aplicación. Para las organizaciones que se encontraban en el ámbito de aplicación a 6 de diciembre de 2025, la fecha límite era el 6 de marzo de 2026. Si no se ha realizado el registro, sigue siendo obligatorio hacerlo.

¿Cuál es la diferencia entre «besonders wichtig» y «wichtig»?

Tamaño y sector. Las grandes empresas de sectores de alta criticidad y los operadores KRITIS se consideran «especialmente importantes» (supervisión proactiva, multas más elevadas); las empresas medianas de dichos sectores y las empresas medianas y grandes de los demás sectores se consideran «importantes» (supervisión reactiva).

¿Exige la normativa NIS2 en Alemania que se imparta formación a los empleados?

Sí. El artículo 30 de la BSIG incluye la higiene cibernética y la formación en ciberseguridad entre las medidas obligatorias, y el artículo 38 obliga a la dirección a asistir personalmente a dicha formación.

¿Dónde puedo encontrar el texto oficial?

La norma NIS2UmsuCG se publicó en el Boletín Oficial Federal (BGBl. 2025 I, n.º 301). Las páginas sobre NIS-2 de la BSI incluyen la autoevaluación, el portal de registro y las preguntas frecuentes. Para conocer el panorama a nivel de la UE, consulta nuestra guía sobre NIS2 de 2026 y el artículo «NIS1 frente a NIS2».